Платить ли выкуп вымогателям: честный разбор рисков, цифр и альтернатив

Взлом и шифровальщики · 28.06.2026 · обновлено 14.10.2026 · 11 мин чтения · Команда НПП РЕКОРД

Вопрос, который задают в панике на второй час после атаки: платить или нет? Разбираем трезво, без лозунгов: что на самом деле покупает компания, заплатив выкуп, какие риски остаются даже после оплаты, сколько обычно платят, кто принимает решение и почему лучший ответ на этот вопрос готовится задолго до атаки.

Коротко. Выкуп покупает обещание, а не гарантию: ключ может не подойти или расшифровать данные частично, украденные данные могут опубликовать всё равно, а компания попадает в список тех, кто платит. По данным Sophos за 2025 год, почти половина пострадавших платит, медианный выкуп — около $1 млн, а 53% заплативших договорились на меньшую сумму. Решение о выкупе принимают последним — после оценки ущерба, проверки резервных копий и консультации со специалистами и юристом. Лучший способ не платить — неизменяемые копии, подготовленные заранее.

Это вопрос, который задают в панике на второй час после атаки: платить или нет? Лозунг «никогда не платите» звучит правильно, но собственнику, у которого стоит вся компания, он мало помогает. Поэтому разберём трезво: что вы покупаете, какие риски остаются и как принимать это решение, если до него всё-таки дошло.

• ≈$1 млн — медианный выкуп
• 53% — заплативших договорились на меньшую сумму
• $1,53 млн — средняя стоимость восстановления после атаки (без учёта выкупа)
• 54% — восстановились из резервных копий (минимум за шесть лет)

Источник: Sophos State of Ransomware 2025

Записка о выкупе — начало переговоров, а не счёт к оплате

Что вы на самом деле покупаете

Заплатив выкуп, компания получает обещание прислать программу-расшифровщик и не публиковать украденные данные. Это не услуга с гарантией, а договорённость с преступниками.

• Ключ может не подойти или расшифровать данные частично — особенно большие базы данных и виртуальные машины.
• Расшифровка идёт медленно: на десятках терабайт она занимает дни, и всё это время бизнес стоит.
• Украденные данные могут опубликовать или продать даже после оплаты: проверить, что их удалили, невозможно.
• Злоумышленник может оставить себе доступ в сеть и вернуться.
• Компания попадает в списки «платящих», и интерес к ней у других группировок растёт.

Важно. Даже после успешной расшифровки систему нельзя просто «вернуть в работу». Пока не найдена точка входа и не удалены закрепления злоумышленника, сеть остаётся скомпрометированной, а атака может повториться.

Двойное вымогательство: почему бэкап отвечает не на всё

Современные группировки сначала выгружают данные, а потом шифруют. Выкуп требуют дважды: за расшифровку и за то, чтобы украденное не опубликовали. Резервные копии решают первую проблему — вы восстанавливаете системы сами. Но вторая остаётся: данные клиентов, договоры и переписка уже у злоумышленников. Поэтому даже при хороших копиях нужно оценивать, что утекло, выполнять обязанности по закону о персональных данных и готовить коммуникацию с клиентами.

Как принимать решение, если до него дошло

1. Изолировать заражённое и оценить масштаб: какие системы зашифрованы, что критично, есть ли признаки выгрузки данных.
2. Проверить резервные копии с чистого компьютера: есть ли целые копии и сколько займёт восстановление.
3. Проверить, нет ли бесплатного расшифровщика для этого семейства вымогателя (проект No More Ransom).
4. Посчитать стоимость простоя за время восстановления из копий и сравнить с последствиями других вариантов.
5. Привлечь специалистов по реагированию и юриста: юридические, налоговые и репутационные вопросы выкупа решаются не в одиночку.
6. Выполнить обязанности по закону: при утечке персональных данных — уведомить Роскомнадзор, при необходимости — подать заявление в полицию и уведомить страховщика.

Почему переговоры всё равно важны

Даже если компания не собирается платить, контакт со злоумышленниками иногда ведут специалисты: это даёт время, информацию о том, что именно украдено, и возможность проверить, действительно ли у атакующих есть данные. Делать это самостоятельно в стрессе не стоит: неосторожные слова и поспешные обещания ухудшают позицию.

Как сделать так, чтобы этот вопрос не возник

• Неизменяемые и офлайн-копии по правилу 3-2-1-1-0, которые регулярно проверяются восстановлением.
• Закрытые входы: двухфакторная аутентификация, никакого RDP наружу, быстрые обновления пограничных устройств.
• Мониторинг, который замечает подготовку атаки до шифрования.
• Шифрование чувствительных данных, чтобы украденные файлы были бесполезны.
• Отработанный план реагирования и договорённость со специалистами заранее.

Совет. Компания, у которой есть проверенная неизменяемая копия и план восстановления, отвечает на вопрос «платить ли выкуп» спокойно: нет, мы восстанавливаемся. Этот ответ готовится не в день атаки, а за месяцы до неё.

Выкуп — это покупка обещания у преступников. Иногда компании оказываются в положении, когда других вариантов почти нет, но правильная цель — никогда в это положение не попадать.

Теги: шифровальщик, выкуп, вымогатели, инцидент, резервное копирование, двойное вымогательство